频道栏目
首页 > 安全 > 系统安全 > 正文

雕虫小技 让IIS服务器无懈可击(下)

2005-05-31 09:46:03           
收藏   我要投稿

完成上面的设置后,你还需要将前面创建好的请求证书文件提交给IIS网站的证书服务器。在将请求证书文件提交给IIS网站的证书服务器时,首先需要将Windows系统目录“system32”下的“CertSrv”子目录,直接复制到目标网站的根目录下;然后在服务器系统中打开IE浏览器窗口,并在其地址栏中输入“http://www.aaa.com/CertSrv/default.asp”URL地址(其中“www.aaa.com”为目标网站的网址),在接着出现的证书服务欢迎界面中,单击一下“申请一个证书”链接,并在其后的页面中将证书申请类型设置为“高级证书申请”;接下来在高级证书申请页面中,单击“使用base64编码……”链接,然后把前面创建好的证书请求文件,直接复制到此处的“保存的申请”文本框中,再单击“提交”按钮就能完成证书请求文件的提交任务了。

  一旦将请求证书文件提交给证书服务器后,你还需要进行颁发证书操作,才能使证书有效。在颁发证书时,你可以依次单击“开始”/“设置”/“控制面板”命令,在弹出的控制面板窗口中,找到“证书颁发机构”图标(如图5所示),然后用鼠标双击该图标;在接着打开的设置窗口中,将鼠标定位到“挂起的申请”选项上,然后用鼠标右键单击前面申请的证书,在其后弹出的右键菜单中依次单击“所有任务”/“颁发”命令;


图5

  等到颁发操作完毕后,再双击刚刚颁发成功的证书,并在证书设置窗口中单击“详细信息”标签,然后在对应标签页面中单击一下“复制到文件”按钮,打开一个文件导出向导界面,根据向导提示设置好导出文件的名称以及保存路径,最后单击一下“完成”按钮。

  颁发完服务器证书之后,IIS服务器还没有把SSL加密功能启动起来,你还需要在Internet服务管理器控制台中,对IIS服务器进行进一步配置。在配置时,你必须重新进入到目标网站的“目录安全性”标签页面,再次单击该页面中的“服务器证书”按钮,在随后打开的设置窗口中,将“处理挂起的请求……”项目选中,接着按照向导提示设置好服务器证书文件的存放路径,同时启用SSL默认的“443”端口,再单击“完成”按钮;然后重新返回到“目录安全性”标签页面,单击“安全通信”设置项处的“编辑”按钮,在其后打开的编辑设置窗口中,将“要求安全通信”选项选中,最后单击一下“确定”按钮,这样IIS服务器的SSL加密功能就被正式启用了。日后你想访问目标网站“www.aaa.com”时,就必须在IE地址栏中输入“https://www.aaa.com”才可以浏览到网站内容,而且你在该网站中提交的任何信息都是被加密之后才传输的,因此网站信息的安全性就会得到大大增强。4、巧用日志寻找安全隐患

  任何对IIS服务器的访问,都会在服务器中留下访问记录,黑客或非法攻击者的访问同样也会在日志文件中留下痕迹;因此,要是我们能活用日志文件,就能及时知道黑客是否对IIS服务器进行了攻击,并且还能知道什么时候进行了攻击;一旦发现有攻击记录时,必须及时采用安全应对措施来阻止黑客的继续攻击。考虑到IIS服务器的日志记录,在默认状态下保存在Windows系统的“system32logfiles”文件夹中,许多黑客很容易从这里找到原始日志文件,并对该日志文件进行修改,从而抹除其攻击痕迹,这样我们就无法从日志文件中知道IIS服务器是否存在安全隐患。为了阻止黑客随意更改日志记录文件,你可以按照如下步骤来修改日志文件的保存路径:

  依次单击“开始”/“程序”/“管理工具”/“Internet服务管理器”命令,在弹出的Internet信息服务控制台窗口中,用鼠标右键单击目标Web网站,从弹出的快捷菜单中执行“属性”命令,在其后出现的Web站点属性设置窗口中,单击“Web站点”标签;     在对应的标签页面中,将“启用日志记录”选项选中,同时单击一下“属性”按钮,在随后出现的如图6所示的属性设置框中,你将看到IIS服务器的日志文件默认存放位置为“%Windir%System32Logfiles”;


图6

  此时你可以单击“浏览”按钮,在接着出现的文件夹选择对话框中,选择一个藏匿较深的子文件夹,作为IIS服务器日志文件新的存放位置。此外,为了能让日志文件及时记录黑客攻击行为,你最好在“新日志时间间隔”设置项处,选中“每天”选项;然后在“扩充的属性”标签页面中,你必须指定IIS服务器到底记录哪方面的内容;最后为了防止黑客随意改动日志文件,你还需要返回到系统资源管理器窗口,修改一下目标日志文件的属性,让日志文件只有本地管理员才有权限访问。完成上面的设置后,IIS服务器的日志文件就能发挥应有作用,并能帮助你及时查找到服务器中存在的安全隐患了。  5、限定特定区域主机的来访

  要是安装在IIS服务器中的防火墙,总提示你有来自特定区域的某些上网主机,在不断尝试着攻击你的服务器时,你完全可以将这些“可疑”主机全部封杀,以阻止它们对服务器的继续攻击。在封杀这些“可疑”主机时,你可以按照如下步骤来进行:

  依次单击“开始”/“程序”/“管理工具”/“Internet服务管理器”命令,在弹出的Internet信息服务控制台窗口中,用鼠标右键单击目标Web网站,从弹出的快捷菜单中执行“属性”命令,在其后出现的Web站点属性设置窗口中,单击“目录安全性”标签;   在对应的标签页面中,单击“IP地址及域名限制”设置项处的“编辑”按钮,在弹出的如图7所示的设置窗口中,你可以选中“授权访问”选项,然后在“以下所列除外”列表处单击“添加”按钮,在其后弹出的“拒绝访问”设置框中,你可以将“一组计算机”选中,接着输入该组区域中的任何一台计算机的IP地址,同时在“子网掩码”处输入该区域的子网掩码,这样你就能将来自“可疑”区域的全部主机都封杀掉了。


图7

  要是你只想对单台可疑计算机进行“封杀”的话,那么你可以选中“一台计算机”选项,同时在“IP地址”文本框中直接输入需要封杀的计算机IP地址,最后单击“确定”按钮返回到图7所示的设置窗口中;倘若还想限制其他单台计算机对IIS服务器的访问时,你可以继续单击“添加”按钮,然后继续输入需要限制的计算机IP地址,这样所有出现在“以下所列除外”框中的目标计算机,都没有访问IIS服务器的权限了,而其他计算机都能正常访问IIS服务器。 6、巧用内容分级确保访问安全

  要是在IIS服务器中发布的网站信息,你不想让所有访问者都能看到的话,那么你可以对发布的网站内容进行分级设置,以便阻止受限用户随意查看目标站点的内容。巧用内容分级功能,你可以轻松限制哪些网站内容可以被授权访问,哪些内容又不能被用户随意访问。要对目标网站进行内容分级的话,可以按照下面的步骤来进行:  

  依次单击“开始”/“程序”/“管理工具”/“Internet服务管理器”命令,在弹出的Internet信息服务控制台窗口中,用鼠标右键单击目标Web网站,从弹出的快捷菜单中执行“属性”命令,在其后出现的Web站点属性设置窗口中,单击“HTTP头”标签;

  在对应的标签页面中,你可以单击“内容分级”设置项处的“编辑分级”按钮,在其后打开的编辑设置窗口中,单击“分级”标签,然后在图8所示的标签页面中,将“此资源启用分级”复选框选中;


图8

  下面,在“类别”设置项处,选中一种合适的类别名称,这样对应类别的分级滑块将会自动显示出来,此时你只要移动该滑块,就能改变当前类别的分级级别;完成好上面的设置操作后,再单击一下“确定”按钮,这样就能把前面的设置保存好了,以后浏览者在访问指定类别内容时,就会受到一定的限制了。

相关TAG标签 服务器
上一篇:雕虫小技 让IIS服务器无懈可击(上)
下一篇:安全宝典之菜鸟怎样杀木马
相关文章
图文推荐

关于我们 | 联系我们 | 广告服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训 | 举报中心

版权所有: 红黑联盟--致力于做实用的IT技术学习网站